欧州サイバーレジリエンス法（CRA）の対象製品を解説！区分ごとの製品リストや必要な適合性評価とは？

「欧州サイバーレジリエンス法（CRA）」は2024年12月10日に発効され、2025年末には整合規格のドラフト版が公開されるなど、着実に制度設計が進んでいます。今後は移行期間を経て、2027年12月11日から本格的に義務化される予定です。CRAに対応するためには、対象製品のセキュリティ上のリスク区分に応じた対策が欠かせません。この記事では、CRA対象製品の具体的な製品リストや適合性評価について、リスク区分ごとに解説します。

CRAの対象製品とリスク区分

EUが定める法規制CRA（Cyber Resilience Act）は、どのような製品が対象になるのでしょうか。まずは、具体的な対象製品の定義や対象外の製品、リスクによる区分から確認しましょう。

CRAの対象製品は「デジタル要素を持つ製品」

CRAの対象製品は幅広く、デジタル要素を持つ製品です。ソフトウェアを含むハードウェア、単体のソフトウェア、リモート経由で提供されるソリューションが該当します。したがって、ネットワーク機器、組み込みシステムを含む機器、IoT、OS、アプリケーションといったあらゆる製品が対象です。

CRA対象外の製品

CRAの対象外となる製品やサービスは、以下の通りです。

■前文12（Recital 12）で規定

• SaaSなどの純粋なクラウドサービス:「NIS2指令（EU 2022/2555）」の対象

■前文18（Recital 18）で規定

• 非営利のオープンソースソフトウェア（OSS）

■第2条（Article 2）で規定

• 医療機器:「医療機器規則（EU 2017/745）」と「体外診断用医療機器規則（EU 2017/746）」の対象製品
• 航空機関連機器:「民間航空機規則（EU 2018/1139）」の対象製品
• 自動車関連機器:「自動車の型式承認規則（EU 2019/2144）」の対象製品
• 国家安全保障や防衛を目的とした製品
• 機密情報の処理のために設計された製品

すでに他の法規制が適用されている分野や、条文で明示されているカテゴリはCRAの対象外となります。

CRA対象製品の区分

CRAの対象製品は、セキュリティ上のリスクに応じた区分が設定されています。具体的な区分は、次の4つです。

• 一般製品（Default category of products）
• 重要製品・クラスI（Important products Class I）
• 重要製品・クラスII（Important products Class II）
• クリティカル製品（Critical products）

各区分では、対象製品や適合性評価の方法が異なります。一方、製品が準拠すべき必須セキュリティ要件と企業に求められる義務は、全区分で共通です。各区分の詳細は、次章から順番に説明します。

CRA対象製品の区分(1)一般製品

一般製品の定義や製品リスト、適合性評価の方法を紹介します。

一般製品（Default category of products）とは

一般製品とは、CRAの附属書III（ANNEX III）と附属書IVに含まれないデジタル製品です。CRA対象のデジタル製品のうち、もっともリスクが低いと考えられる区分です。CRAは、サイバーセキュリティ上のリスクやインシデント時の影響の度合いによって、対象製品を分類しています。したがって、一般製品には広範なデジタル製品が含まれています。

主な製品リスト

CRAの対象製品のうち、他の区分に含まれないものが一般製品の対象になります。例として、以下の製品が挙げられます。

• スマート家電
• プリンター
• Bluetoothスピーカー
• モバイルアプリ

なお、他の区分と違って、一般製品は条文内に具体的な製品例が列挙されているわけではありません。

適合性評価の方法

一般製品は、第32条第1項にもとづき適合性評価を進めます。附属書VIIIのパートI「モジュールA（内部統制）」による自己適合宣言を行えるため、原則として第三者の認証機関（Notified Body）に依頼する必要はありません。社内で適合性評価を実施して、必須セキュリティ要件を満たしていると自社単独の責任において宣言します。

一方で、必要に応じて第三者機関の評価を受ける方法も選択可能です。その場合は、同じく附属書VIIIに規定される「モジュールB+モジュールC」または「モジュールH」を実施します。

CRA対象製品の区分(2)重要製品・クラスI

続いて、重要製品・クラスIの概要や製品リストの詳細を見ていきましょう。

重要製品・クラスI（Important products Class I）とは

重要製品・クラスIとは、附属書IIIに含まれるデジタル製品です。重要製品は2つのカテゴリがあり、クラスIは後述のクラスIIよりもセキュリティリスクが低いと考えられます。主に、通信の安全性や認証に関連する製品が該当します。

主な製品リスト

重要製品・クラスIの製品リストは19項目あり、附属書IIIに列記されています。次の一覧表にまとめます。

適合性評価の方法

重要製品・クラスIの適合性評価は、第32条第2項にもとづき実行します。まず、モジュールAを使った自己評価を行うためには、以下3つのいずれかの方法によって必須セキュリティ要件に準拠する必要があります。

• 整合規格
• 共通仕様
• EUサイバーセキュリティ認証制度（EUCC）

該当しない場合、第三者評価が求められます。附属書VIIIパートIIとIIIの「モジュールB+C（EU型式審査+内部生産管理）」、あるいはパートIVの「モジュールH（完全品質保証）」によって実行します。

CRA対象製品の区分(3)重要製品・クラスII

重要製品・クラスIIについて、概要や製品リスト、適合性評価を解説します。

重要製品・クラスII（Important products Class II）とは

重要製品・クラスIIとは、附属書III（ANNEX III）に明記されたデジタル製品です。重要製品の中でもリスクが高い製品群であり、厳格な適合性審査のルールが設けられています。クラスIと比較して対象の製品は少ないですが、情報システムやネットワークの中核を成すソリューションが含まれます。

主な製品リスト

重要製品・クラスIIの製品リストは、下記4つの項目です。

適合性評価の方法

重要製品・クラスIIの適合性評価は、第32条第3項のルールが当てはまります。クラスIのような「整合規格や共通仕様に準拠すれば自己評価が可能」といった例外はなく、第三者機関による評価が不可欠です。適合性評価の手順は、附属書VIIIパートIIとIIIで定める「モジュールB+C」、もしくはパートIVの「モジュールH」のいずれかで実施します。

モジュールB+Cでは、まず第三者機関が製品の技術設計を審査して、「EU型式審査証明書（EU-type examination certificate）」を発行します。その後、設計通りにデジタル製品が生産されたかを製造者が確認する仕組みです。一方、モジュールHは、第三者機関が品質管理システム全体を審査します。

CRA対象製品の区分(4)クリティカル製品

次に、クリティカル製品の定義や具体的な製品リストを確認しましょう。

クリティカル製品（Critical products）とは

クリティカル製品とは、附属書IVで指定されるデジタル製品です。CRAが定める製品区分の中で、サイバーセキュリティ上の重要度がもっとも高いとされています。公共インフラにも深く関わるカテゴリであることから、インシデント発生時は社会へ大きな影響を与える可能性があります。

主な製品リスト

クリティカル製品は、以下の3項目に分類されます。

適合性評価の方法

クリティカル製品の適合性評価は、第32条第4項に従って進めます。第三者機関による適合性評価が必須であり、可能であれば第8条第1項で定める「欧州サイバーセキュリティ認証制度（EUCC）」によって必須セキュリティ要件への適合を認証します。EUCCによる認証を行えない場合、附属書VIIIパートIIとIIIの「モジュールB+C」、あるいはパートIVの「モジュールH」のどちらかの方法で第三者機関による評価を受けます。

CRA対象製品の製造会社に共通して求められる義務

CRAはリスク区分の違いにかかわらず、製品ライフサイクル全体にわたってさまざまな義務を定めています。ここでは、CRAの対象製品の製造会社に求められる主な義務を説明します。

必須セキュリティ要件の適合

第13条第1項にて、開発・設計段階からの必須セキュリティ要件への適合を義務としています。さらに、必須セキュリティ要件の詳細は、附属書Iに明記されています。必須セキュリティ要件は全区分で共通していますが、リスクにもとづき「適切なレベル（Appropriate level）」のセキュリティ対策を確保した設計・開発・製造が求められる仕組みです。なお、CRAへの適合を推定する整合規格のうち、特定分野の製品を対象とした「垂直規格」は今後整備・採択される予定です。

適合性評価の実施

適合性評価の実施は第13条第12項にて規定し、リスク区分ごとの具体的なルールは第32条で示されています。製品の必須セキュリティ要件を満たしたうえで適合性評価を行うことで、CRAに準拠していると認証される仕組みです。たとえば、もっともリスクの低い一般製品はモジュールAによる自己評価で完結できます。ただし、適合性評価の手順に不安な点がある場合は、CRAに対応可能な専門会社の支援を受けたほうが安心でしょう。

各種文書の作成

CRAの第13条には、各種文書の作成についても明記されています。主な文書は、以下の通りです。

CEマークの貼付

第13条第12項にもとづき、適合性評価を完了した製品にはCEマークの貼り付けが必要です。CRAにおけるCEマークとは、対象製品がCRAに準拠していることの表示になります。原則として、CEマークのないCRA対象製品はEU市場に流通させられません。CEマークの仕様は、第30条に明示されたルールに従いましょう。たとえば、「視認性・判読性を維持して、消失しない方法で貼り付ける」「市場投入前に製品へ貼り付ける」といった規定が示されています。

製品の添付文書の作成

CRAは、ユーザーに向けた添付文書の作成も義務化しています。第13条第15〜16項および18〜20項でルールが定められており、附属書IIにも記載内容の詳細が示されている形です。主に、次の情報を含める必要があります。

• 製品識別が可能な型式やシリアル番号
• 製造業者の名称、登録商標、電子メールアドレス等の連絡先
• 製造業者に連絡できるWebサイト
• セキュリティアップデート等のサポート終了日
• 製品の脆弱性情報を報告・受信できる連絡先
• EU適合宣言書の写し、または簡略化されたEU適合宣言書の写し（※簡略版を掲載する場合、全部を閲覧できるWebサイトのURLを記載）

また、対象製品の添付文書の保管期間も定められています。「製品の市場投入後10年間」もしくは「サポート期間中」の長いほうの期間、ユーザーと市場監視当局が利用できるように保管する義務があります。

問い合わせ窓口の設置

第13条第17項では、ユーザー向け問い合わせ窓口の設置義務を定めています。ユーザーが製品の脆弱性について発見した際に、製造会社へ簡単に報告できる仕組みの提供が必要です。問い合わせ窓口の形式は、Web上の問い合わせフォームやメールアドレスといった使いやすい手段での設置が求められます。さらに、チャットボット等の自動化ツールだけに限定してはいけません。

脆弱性とインシデントの報告

第14条には、製造業者による脆弱性とインシデントの報告義務が記載されています。製造業者は、以下2つのどちらかを認識した場合、指定機関へ報告用プラットフォームから通知しなくてはいけません。

• 現在悪用されている脆弱性（Actively exploited vulnerability）
• 対象製品のセキュリティに影響のある重大インシデント（Severe incident having an impact on the security of the product with digital elements）

報告先の機関は、第14条第7項にもとづき指定されたCSIRTと、欧州連合サイバーセキュリティ機関（ENISA）となります。

CRA対象製品を扱う企業がやるべきこと

CRA対象製品を扱う企業は、義務を達成するために何をすればいいのでしょうか。具体的にやるべきことを解説します。

自社デジタル製品の区分確認

CRAはデジタル製品を広く対象としているため、ソフトウェア、IoT機器、ネットワーク機器、組み込みシステムなど、さまざまな製品が対象となる可能性があります。まずは、自社製品のラインアップを整理して、CRAの対象となるソリューションを特定しましょう。そのうえで、対象製品が「一般製品」「重要製品（クラスI・クラスII）」「クリティカル製品」のどこに分類されるのかを確認します。CRAは区分によって適合性評価のルールが違うため、正確な区分の把握が重要です。

CRAを遵守するための体制構築

CRAを継続的に遵守するためには、社内体制の構築が欠かせません。ユーザーからの問い合わせ受付、指定機関への脆弱性・インシデントの報告、セキュリティアップデートの提供を行える体制を整備しましょう。また、第13条の第14項では、対象製品をCRAに適合させ続けるように、管理体制の整備も求めています。設計や製造プロセスの変更、整合規格の更新があった場合にも適合性を維持できる体制が不可欠となります。

文書の作成・保管

CRAの対象製品を扱う場合、技術文書やEU適合宣言書の作成と保管が必要です。必須セキュリティ要件のうち「脆弱性ハンドリング要件」では、ソフトウェアを構成するコンポーネントを整理したSBOMの作成を定めています。各種文書は適合性評価や市場監視当局への対応に必要な資料となるため、適切に文書を作成・保管できる仕組みを整えておきましょう。

セキュリティ法規対応支援を受ける

CRAの要件は多岐にわたり、サイバーセキュリティだけでなくEU規制に関する知識も求められます。中でも、適合性評価の準備や技術文書の作成、脆弱性管理プロセスの整備は専門知識が必要になるでしょう。CRAの基準を満たすためには、セキュリティ法規対応の専門的な支援を受けると確実です。オージス総研は、CRA対応の包括的な支援サービスを提供しています。CRA対応計画の策定や脅威分析など、CRAを遵守した組み込みセキュリティの実現をサポートいたします。

CRA全面施行までに対象製品の法規対応を進めよう

CRAは、ソフトウェア、組み込みシステムを含むハードウェア、IoT機器と幅広い製品が対象です。また、セキュリティ上のリスクに応じた製品の区分があり、一般製品、重要製品・クラスI、重要製品・クラスII、クリティカル製品の4つに分かれます。それぞれ指定された適合性評価で認証されることで、CRAに自社製品を適合させられます。対象製品を扱う企業は、CRAが全面的に施行されるまでに法規対応を進めましょう。すばやく対策を進めることで、CRAの全面施行後もEU市場で対象製品を販売・流通させることができます。

2026年7月13日公開
※この記事に掲載されている内容、および製品仕様、所属情報（会社名・部署名）は公開当時のものです。予告なく変更される場合がありますので、あらかじめご了承ください。